Archive for category 网络和安全

一、 大纲和目标

此文为理解什么是LDAP打下一个基础。目标是使你掌握基本的术语和概念，不作为深入学习LDAP的材料。LDAP，它的
全称为轻量级目录访问协议。

此文包括以下几方面的内容：
* 目录的基本定义
* 理解目录能做什么和不能做什么
* 2个目录例子
* 总结使用目录服务的校验表

二、 基本定义

目录是一种专门的数据库，它服务于各种应用程序，包括LDAP（轻量级目录访问协议）目录和基于X.500的目录。这些
目录都是通用的标准的目录。它们不适合于特定的操作系统、应用目的。

不管她们知不知道这里的目录是什么意思，大多数人熟悉各种各样的目录，像电话簿、黄页，电视指南、购物目录和图
书馆卡片目录。我们把这一类目录归为日常目录。在计算机中的目录被称为在线目录。

目录服务是软件、硬件、策论以及管理的集合体。目录服务至少包括以下几个方面：
* 包含在目录中的信息
* 保存信息的软件服务端
* 扮演存取信息的软件客户端
* 跑服务端，客户端软件的硬件
* 支撑系统，像操作系统、设备驱动等
* 连接客户端到服务端以及各个服务端之间的网络基础设施
* 策略。规定谁能访问，谁能更新，谁能存取等
* 维护和监视目录服务的软件

术语目录和目录服务经常可换用。

三、 目录是什么以及它能做什么

下面的应用类型不能被归为目录：
* 数据库
* 文件系统
* web服务
* FTP服务
* DNS服务

与数据库比较

虽然目录也被称为特殊的数据库，但它不同于真正的数据库。目录的大部分操作为读操作。假如你的应用程序要写大
量的数据，你应该考虑选择使用数据库来实现。目录支持相对简单的事务处理。相反，数据库被设计成处理大量的各
种各样的事务处理。假如你的应用要求这种重负荷的事务支持，你该选择数据库而不是目录。

在另一方面，假如你的应用不要求这样的大负荷事务处理，而是偶尔的写一些简单的事务信息。这时，目录是理想的
选择。它会更有效，更简单。

与文件系统比较

目录被认为是很差的文件系统。文件通常很大，有几兆甚至更大，虽然目录被优化成存取很小的信息。应用程序以块
的方式存取文件。文件系统支持各种调用–像seek()，read()和write()，这样可以写大文件的一部分的信息。目录
不能提供这种随机的存取访问。目录条目被分成各种属性。你可以分别获取各种属性。你不能取得一个条目的部分值，
如从第几个字节开始。

与web的比较

不象web服务器一样，目录不适合推送JPEG图象或Java程序给客户端。Web服务通常作为开发web应用的跳板。这些平
台从CGI（公用网关接口）到更复杂的像Netscape应用服务平台。目录一般不提供这种形式的应用开发，甚至它不提
供目录应用开发平台服务。

与FTP比较

与FTP的主要区别在于：数据量的大小和客户的类型。另外一点就是FTP是一个非常简单的协议，它专于做一件事情并
把它做好。假如你想做的是把文件从一个地方传送到另一个地方，那么额外的目录下层结构也需要，如复制、查询、
更新等。

与DNS比较

因特网的域名系统和目录有相似之处，它们都提供对分层式数据库的访问。但其它一些不同把它们区分开来。

DNS的主要目的是把主机名转换成IP地址。比较而言，大多数目录有更普通的作用。DNS有一套专门的、固定的计划，
而目录允许被扩展。DNS不允许更新它的信息，而目录可以。DNS可通过UDP的无连接的方式访问，而目录通常是连接
访问的。

四、 目录举例

X.500

在八十年代中期，两个不同的团体–CCITT和ISO，各自开始在目录服务方面的研究工作。最后，两个国际性的目录规
范融合成一个规范，这就是X.500。X.500的优势在于它的信息模型，它的多功能性和开放性。

LDAP

1993年7月，第一个LDAP规范是由密歇根大学开发的，也就是RFC1487。LDAP的开发者们简化了笨重的X.500目录访问
协议，他们在功能性、数据表示、编码和传输方面做了改建。目前，LDAP的版本是第3版本，相对以前版本来说，
第3版本在国际化、提名、安全、扩展性和特性方面更加完善。1997年，第3版本成为因特网标准。

五、 目录服务校验表

下面是简要的总结：为你是否选择目录或其它技术提供导航。
* 信息量大小。目录适合于存放相对小的信息量，而不是几兆大小的文件。可以利用指针，它可以指向大的文件，
但绝不是文件本身。
* 信息的类型。目录通常是基于属性的信息。
* 读写比。目录适合于读操作更多的应用。如需要用到大量的写操作，数据库是一个选择。
* 搜寻能力。目录能搜寻他自身包含的信息。
* 标准访问。假如你需要标准的访问信息。目录是一个好的选择。

六、 参考文献

X.500 Lightweight Directory Access Protocol
http://www.cis.ohio-state.edu/rfc/rfc1487.txt

A String Representation of LDAP Search Filters
http://www.cis.ohio-state.edu/rfc/rfc1558.txt

‘MyGet
    MyGet目标设计成一个可扩展的，拥有丰富界面的多线程下载工具，它支持HTTP、FTP、HTTPS等协议。      在http://myget.sourceforge.net/release/myget-0.1.0.tar.bz2下载其最新版本0.1.0，
 
  下载后使用如下命令安装：
   #tar jxvf myget-0.1.0.tar.bz2
   #cd myget-0.1.0
   #./configure
   #make
   #make install

   MyGet命令格式如下： #mytget [选项] [下载地址]
   常用的选项：
   -d  [目录]：指定下载到的文件在本地存放的位置，默认当前目录。
   -f  [文件]：指定下载到本地后的新文件名称。
   -h  帮助选项。
   -n  [线程数]：下载线程数量，默认为4个。
   -x  [代理服务器地址]：设置代理服务器地址，如“-x http://user:pass@host:port”。
   -b  Show the debug message
   -c  Set the retry count to [num], no limit when "0", the default is "99"
   -i  Set the ftp retry interval to [num] seconds, the default is "5"
   -r  Include `Referer: [URL]” header in HTTP request.
   -t  Set the connection timeout to [num] seconds, the default is "30"
   -v  Show the version of the myget and exit
   -x  Set the proxy [URL]

[root@localhost myget-0.1.0]# mytget  -n 10  -x http://192.168.0.5:8080  -d ./  http://…./myget-0.1.0.tar.bz2
Begin to download: myget-0.1.0.tar.bz2
Filesize: 222K
100%========================] [228K] [5.6K/s] [ETA:00:-1]Download successfully in 00:11 [==========================================================] [228K] [5.6K/s] [ETA:00:-1]Download successfully in 00:11

===========================================================

Axel [推荐]
  Axel是命令行下的多线程下载工具，支持断点续传，速度通常情况下是Wget的几倍。

  可在http://www.linuxfans.org/nuke/modules.php?name=Site_Downloads&op=mydown&did=1697下载。
 
  下载后使用如下命令编译安装：
   #tar zxvf axel-1.0a.tar.gz
   #cd axel-1.0a/
   #./configure
   #make
   #make install
 
   基本的用法如下： #axel [选项] [下载目录] [下载地址]
[root@localhost axel-1.0a]# axel –help
Usage: axel [options] url1 [url2] [url...]

-s x    Specify maximum speed (bytes per second)
-n x    Specify maximum number of connections
-o f    Specify local output file
-S [x]  Search for mirrors and download from x servers
-N      Just don”t use any proxy server
-q      Leave stdout alone
-v      More status information
-a      Alternate progress indicator
-h      This information
-V      Version information

   一个典型下载如下： #alex -n 10 -o /home/kennycx/            http://xxxx/jre.tar.gz

   用10线程将指定路径的文件下载到/home/kennycx/这个目录下。

#设置代理
[root@localhost axel-1.0a]# export HTTP_PROXY=192.168.0.5:8080

#开始下载
[root@localhost axel-1.0a]# axel  -n 10  -vo .  http://xxx/xx.tar.gz

Initializing download: http://xxx/xx.tar.gz
File size: 1945089 bytes
Opening output file ./d4x-2.5.6.tar.gz
Starting download

[  0%]  ………. ………. ………. ………. ……….  [  15.3KB/s]
[  2%]  ………. ………. ………. ………. ……….  [  20.5KB/s]
[  5%]  ………. ………. ………. ………. ……….  [  26.3KB/s]
[  7%]  ………. ………. ………. ………. ……….  [  30.1KB/s]
[ 10%]  ………. ………. ………. ………. ……….  [  34.0KB/s]
[ 13%]  ………. ………. ………. ………. ……….  [  36.7KB/s]
[ 15%]  ………. ………. ………. ………. ……….  [  39.0KB/s]
[ 18%]  ………. ………. ………. ………. ……….  [  41.7KB/s]
[ 21%]  ………. ………. ………. ………. ……….  [  42.7KB/s]
[ 23%]  ………. ………. ………. ………. ……….  [  43.2KB/s]
[ 26%]  ………. ………. ………. ………. ……….  [  44.6KB/s]
[ 28%]  ………. ………. ………. ………. ……….  [  46.6KB/s]
[ 31%]  ………. ………. ………. ………. ……….  [  46.6KB/s]
[ 34%]  ………. ………. ………. ………. ……….  [  46.2KB/s]
[ 36%]  ………. ………. ………. ………. ……….  [  47.5KB/s]
[ 39%]  ………. ………. ………. ………. ……….  [  47.3KB/s]
[ 42%]  ………. ………. ………. ………. ……….  [  47.9KB/s]
[ 44%]  ………. ………. ………. ………. ……….  [  48.0KB/s]
[ 47%]  ………. ………. ………. ………. ……….  [  47.2KB/s]
[ 50%]  ………. ………. ………. ………. ……….  [  47.6KB/s]
[ 52%]  ………. ………. ………. ………. ……….  [  47.2KB/s]
[ 55%]  ………. ………. ………. ………. ……….  [  47.5KB/s]
[ 57%]  ………. ………. ………. ………. ……….  [  47.8KB/s]
[ 60%]  ………. ………. ………. ………. ……….  [  47.6KB/s]
[ 63%]  ………. ………. ………. ………. ……….  [  47.8KB/s]
[ 65%]  ………. ………. ………. ………. ……….  [  48.0KB/s]
[ 68%]  ………. ………. ………. ………. ……….  [  48.0KB/s]
[ 71%]  ………. ………. ………. ………. ……….  [  48.3KB/s]
[ 73%]  ………. ………. ………. ……….
Connection 1 finished
        ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, …….
Connection 3 finished
        ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,…  [  48.1KB/s]
[ 76%]  ………. ………. ………. ………. ……….  [  48.2KB/s]
[ 78%]  ………. ………. ………. ………. ……….  [  47.9KB/s]
[ 81%]  ………. ………. ………. ………. ……….  [  47.8KB/s]
[ 84%]  ………. …….
Connection 6 finished
        ,,,,,,,,,, ,,,,,,,… ……….
Connection 5 finished
        ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ……….
Connection 2 finished
        ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ……….  [  47.1KB/s]
[ 86%]  ….
Connection 8 finished
        ,,,,…..
Connection 4 finished
        ,,,,,,,,,. ………. ………. ………. ……….  [  43.6KB/s]
[ 89%]  ………. ………. ………. ………. .
Connection 9 finished
        ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ,……
Connection 0 finished
        ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,,,, ,,,,,,,…  [  40.3KB/s]
[ 92%]  ………. ………. ………. ………. ……….  [  35.0KB/s]
[ 94%]  ………. ………. ………. ………. ……….  [  27.1KB/s]
[ 97%]  ………. ………. ………. ………. ………

Downloaded 1899.5 kilobytes in 1:14 seconds. (25.60 KB/s)

=========================================================

D4X
     Downloader For X（文中简称为D4X）是Linux下功能强大的图形化下载工具。
     支持HTTP与FTP协议，
     具有类似NetAnt和FlashGet等多线程、
     断点续传下载
     具有连接超时断点续传
     记录下载日志
     模拟下载
     链接拖拽下载
     自动复制剪贴板链接到下载地址栏中等功能。

   1.下载和安装 D4X的下载地址为http://www.krasu.ru/soft/chuchelo/files/d4x-2.5.0final.tar.gz，下载后使用如下命令安装：
    #tar zxvf d4x-2.5.0final.tar.gz
    #cd d4x-2.5.0final
    #./configure
    #make
    #make install
成功安装后，运行“d4x”命令便可直接运行。它的界面如图3所示，和FlashGet有点相像吧。

     2.使用和设置
       D4X的使用十分简单，下载文件时，只需在“添加新的下载任务”对话框中输入下载文件地址即可。如果下载地址需要用户名和密码，可在这个对话框中直接输入。如要计划下载，可在时间选项中设定下载时间。此外，在下载任务选项中，可设定一些下载的配置，如下载文件默认目录、默认线程个数、界面风格等。值得一提是代理选项，可指定默认的代理服务器和SOCKS5代理,具体设置如图4所示。

=========================================================

mms协议流媒体下载工具
[来源]http://www.5anet.com/?module=bbs&object=bbs&action=showdetail&id=13
[作者]黄叶
ASFR+ 是一个专门用来下载 ASF、Wma、Wmv 格式流文件的工具.此软件是国内的 Yaan2 同志在ASFRecorder 代码的基础上加以改进做出的，这个软件在ASFRecorder 的基础上加上了分断下载、修复损坏 ASF 文件、多线程下载ASF文件,断点续传等功能。唯一遗憾就是没有GUI界面。
安装方法：tar zxvf asfrplus.tgz
cd asfrplus
make
在asfrplus目录会生成一个文件名为"asfr"的可执行文件。
下面是它的基本用法：
进入asfrplus的目录，输入：
./asfr mms://www.hehe.com/***.wma -t 3
使用3个线程下载***.wma

./asfr -P http://proxy:8080  mms://www.hehe.com/***.wma
使用代理服务器proxy:8080下载***.wma

./asfr mms://www.hehe.com/***.wma -T
强制用MMST协议下载***.wma

退出程序:Ctrl+Break

    
大小:    47KB
下载:    http://www.5anet.com/software/asfrplus.tgz

=========================================================

1)图形界面下载工具
 
D)WxDfast
    WxDfast也是一个图形化的下载工具，支持多线程、断点续传等功能，最大特点是下载速度快。可在http://heanet.dl.sourceforge.net/sourceforge/dfast/wxdfast-0.2.1-src.tar.gz下载WxDfast的最新版本。然后使用如下命令进行安装：
    #tar jxvf wxdfast-0.2.1d.tar.bz2
    #cd wxdfast-0.2.1-src
    #make install
    在终端下运行“./wxdfast”命令便可运行程序。WxDfast界面非常简洁，其界面如图5所示。全英文界面使用起来可能不如KGet方便，好在它的操作和KGet、D4X基本相同，大家可参照学习，这里就不赘述了。

E)Aria
     Aria是个小巧的多线程下载工具，简单易用的界面用起来得心应手。
     可在http://aria.rednoah.com/download_e.html下载最新版本，然后使用如下命令进行编译安装：
    #./configure
    #make
    #make install 成功安装后直接运行如下命令便可运行Aria：
    #aria&

    Aria的界面如图6所示，它的操作和D4X差不多，可参照使用。

2)命令行下载工具
  对于喜欢命令行操作及追求高效率、高速度下载的朋友，推荐使用命令行下载工具。命令行工具不但使用方便，而且大多具有很高的下载速度及下载效率，尤其适合于大批量下载文件。下面就为大家详细介绍一下这些工具。

 A)Wget
   Wget是一个十分常用命令行下载工具，多数Linux发行版本都默认包含这个工具。
 
   如果没有安装可在http://www.gnu.org/software/wget/wget.html下载最新版本，并使用如下命令编译安装：
   #tar zxvf wget-1.9.1.tar.gz
   #cd wget-1.9.1
   #./configure
   #make
   #make install

   它的用法很简单，Wget使用格式如下： #wget [选项] [下载地址]
 
   Wget常用参数
      ◆-b：后台下载，Wget默认的是把文件下载到当前目录。
      ◆-O：将文件下载到指定的目录中。
      ◆-P：保存文件之前先创建指定名称的目录。
      ◆-t：尝试连接次数，当Wget无法与服务器建立连接时，尝试连接多少次。
      ◆-c：断点续传，如果下载中断，那么连接恢复时会从上次断点开始下载。

     HTTP和FTP代理功能，编辑其配置文件“/etc/wgetrc”即可。具体方法是使用VI编辑器打开上述文件，将 “http_proxy”和“ftp_proxoy”前的#去掉，然后在这两项后输入相应的代理服务器的地址，保存退出即可。

     Wget还可下载整个网站，如下载http://man.chinaunix.net整个Man手册中心。只需输入如下命令即可： #wget -r -p -np -k http://man.chinaunix.net

    其中-r   参数是指使用递归下载，
       -p   是指下载所有显示完整网页所以需要的文件，如图片等，
       -np  是指不搜索上层目录，-k则是指将绝对链接转换为相对链接。

B)Prozilla
  Prozilla也是一个十分流行的命令行下载工具，支持多线程下载和断点续传功能, 但未找到代理支持功能

  可到http://prozilla.genesys.ro/下载最新的1.3.7.4安装包，下载安装包后使用如下命令进行安装：
 
  #tar zxvf prozilla-1.3.7.4.tar.gz
  #cd prozilla-1.3.7.4
  #./configure
  #make
  #make install Prozilla

  命令格式如下： #proz [参数] [下载地址]
  常用的选项有：
     ◆-k=n ：设置n个线程下载。不加此参数指定线程数，Prozilla默认为4线程下载。
     ◆-P, –directory-prefix=DIR：指定将下载的文件保存在DIR/目录。
     ◆-r, –resume：继续下载未完成的文件。如果要指定线程数下载可用如下命令： #proz -k=5 http://64.12.204.21
/pub/mozilla.org/firefox/releases/1.0/linux-i686/zh-CN/firefox-1.0.installer.tar.gz

     这样便以5线程进行文件的下载，并将文件保存到当前目录。

     和Wget一样，Prozilla也提供了续传功能，下载中断后，重新输入上述命令，就会出现提示续传，按R键就可继续下载了。

D)Linuxdown
  Linuxdown是一个命令行多线程下载工具，最多可支持30线程的下载, 但未找到代理支持功能

  在https://gro.clinux.org/frs/download.php/1015/linuxdown-1.0.0.tar.gz下载最新的1.1.0版本。

  然后使用如下命令进行编译安装：
   #tar zxvf linuxdown-1.1.0.tar.gz
   #cd dandelion/
   #make
   #make install linuxdown
 
   格式为： #linuxdown [下载地址] [选项] [线程数]
   需要注意的是下载地址和选项都需要西文引号括起来，线程数不可超过30个。一个典型的下载如下：
   #linuxdown "http://xxx/xxx.zip" 30

现在仍然有很多人这么认为，只要网络中使用了一层安全就够了，事实并不是这样，一层根本挡不住病毒和黑客的侵袭。接下来我将逐点介绍网络安全的多点做法。 

       第一、物理安全 

       除了要保证要有电脑锁之外，我们更多的要注意防火，要将电线和网络放在比较隐蔽的地方。我们还要准备UPS，以确保网络能够以持续的电压运行，在电子学中，峰值电压是一个非常重要的概念，峰值电压高的时候可以烧坏电器，迫使网络瘫痪，峰值电压最小的时候，网络根本不能运行。使用UPS可以排除这些意外。另外我们要做好防老鼠咬坏网线。

       第二、系统安全（口令安全）

       我们要尽量使用大小写字母和数字以及特殊符号混合的密码，但是自己要记住，我也见过很多这样的网管，他的密码设置的的确是复杂也安全，但是经常自己都记不来，每次都要翻看笔记本。另外我们最好不要使用空口令或者是带有空格的，这样很容易被一些黑客识破。
       我们也可以在屏保、重要的应用程序上添加密码，以确保双重安全。 

       第三、打补丁

       我们要及时的对系统补丁进行更新，大多数病毒和黑客都是通过系统漏洞进来的，例如今年五一风靡全球臭名昭著的振荡波就是利用了微软的漏洞ms04-011进来的。还有一直杀不掉的SQLSERVER上的病毒slammer也是通过SQL的漏洞进来的。所以我们要及时对系统和应用程序打上最新的补丁，例如IE、OUTLOOK、SQL、OFFICE等应用程序。
       另外我们要把那些不需要的服务关闭，例如TELNET，还有关闭Guset帐号等。 

       第四、安装防病毒软件 

       病毒扫描就是对机器中的所有文件和邮件内容以及带有.exe的可执行文件进行扫描，扫描的结果包括清除病毒，删除被感染文件，或将被感染文件和病毒放在一台隔离文件夹里面。所以我们要对全网的机器从网站服务器到邮件服务器到文件服务器知道客户机都要安装杀毒软件，并保持最新的病毒定义码。我们知道病毒一旦进入电脑，他会疯狂的自我复制，遍布全网，造成的危害巨大，甚至可以使得系统崩溃，丢失所有的重要资料。所以我们要至少每周一次对全网的电脑进行集中杀毒，并定期的清除隔离病毒的文件夹。
       现在有很多防火墙等网关产品都带有反病毒功能，例如飞塔Fortigate防火墙就是，她具有防病毒的功能。 

       第五、应用程序

       我们都知道病毒有超过一半都是通过电子邮件进来的，所以除了在邮件服务器上安装防病毒软件之外，还要对PC机上的outlook防护，我们要提高警惕性，当收到那些无标题的邮件，或是你不认识的人发过来的，或是全是英语例如什么happy99，money，然后又带有一个附件的邮件，建议您最好直接删除，不要去点击附件，因为百分之九十以上是病毒。我前段时间就在一个政府部门碰到这样的情况，他们单位有三个人一直收到邮件，一个小时竟然奇迹般的收到了2000多封邮件，致使最后邮箱爆破，起初他们怀疑是黑客进入了他们的网络，最后当问到这几个人他们都说收到了一封邮件，一个附件，当去打开附件的时候，便不断的收到邮件了，直至最后邮箱撑破。最后查出还是病毒惹的祸。
       除了不去查看这些邮件之外，我们还要利用一下outlook中带有的黑名单功能和邮件过虑的功能。
       很多黑客都是通过你访问网页的时候进来的，你是否经常碰到这种情况，当你打开一个网页的时候，会不断的跳出非常多窗口，你关都关不掉，这就是黑客已经进入了你的电脑，并试图控制你的电脑。
       所以我们要将IE的安全性调高一点，经常删除一些cookies和脱机文件，还有就是禁用那些Active X的控件。

     第六、代理服务器

        代理服务器最先被利用的目的是可以加速访问我们经常看的网站，因为代理服务器都有缓冲的功能，在这里可以保留一些网站与IP地址的对应关系。
       要想了解代理服务器，首先要了解它的工作原理：
       环境：局域网里面有一台机器装有双网卡，充当代理服务器，其余电脑通过它来访问网络。
       1、内网一台机器要访问新浪，于是将请求发送给代理服务器。
       2、代理服务器对发来的请求进行检查，包括题头和内容，然后去掉不必要的或违反约定的内容。
       3、代理服务器重新整合数据包，然后将请求发送给下一级网关。
       4、新浪网回复请求，找到对应的IP地址。
       5、代理服务器依然检查题头和内容是否合法，去掉不适当的内容。
       6、重新整合请求，然后将结果发送给内网的那台机器。
       由此可以看出，代理服务器的优点是可以隐藏内网的机器，这样可以防止黑客的直接攻击，另外可以节省公网IP。缺点就是每次都要经由服务器，这样访问速度会变慢。另外当代理服务器被攻击或者是损坏的时候，其余电脑将不能访问网络。

       第七、防火墙

       提到防火墙，顾名思义，就是防火的一道墙。防火墙的最根本工作原理就是数据包过滤。实际上在数据包过滤的提出之前，都已经出现了防火墙。
       数据包过滤，就是通过查看题头的数据包是否含有非法的数据，我们将此屏蔽。
       举个简单的例子，假如体育中心有一场刘德华演唱会，检票员坐镇门口，他首先检查你的票是否对应，是否今天的，然后撕下右边的一条，将剩余的给你，然后告诉你演唱会现场在哪里，告诉你怎么走。这个基本上就是数据包过滤的工作流程吧。
       你也许经常听到你们老板说：要增加一台机器它可以禁止我们不想要的网站，可以禁止一些邮件它经常给我们发送垃圾邮件和病毒等，但是没有一个老板会说：要增加一台机器它可以禁止我们不愿意访问的数据包。实际意思就是这样。接下来我们推荐几个常用的数据包过滤工具。
       最常见的数据包过滤工具是路由器。
       另外系统中带有数据包过滤工具，例如Linux TCP/IP中带有的ipchain iptable等
       windows 2000带有的TCP/IP Filtering筛选器等，通过这些我们就可以过滤掉我们不想要的数据包。
       防火墙也许是使用最多的数据包过滤工具了，现在的软件防火墙和硬件防火墙都有数据包过滤的功能。接下来我们会重点介绍防火墙的。

      防火墙通过一下方面来加强网络的安全：
       1、策略的设置
       策略的设置包括允许与禁止。允许例如允许我们的客户机收发电子邮件，允许他们访问一些必要的网站等。例如防火墙经常这么设置，允许内网的机器访问网站、收发电子邮件、从FTP下载资料等。这样我们就要打开80、25、110、21端口，开HTTP、SMTP、POP3、FTP等。
       禁止就是禁止我们的客户机去访问哪些服务。例如我们禁止邮件客户来访问网站，于是我们就给他打开25、110，关闭80。
       2、NAT
       NAT，即网络地址转换，当我们内网的机器在没有公网IP地址的情况下要访问网站，这就要用到NAT。工作过程就是这样，内网一台机器192.168.0.10要访问新浪，当到达防火墙时，防火墙给它转变成一个公网IP地址出去。一般我们为每个工作站分配一个公网IP地址。
       防火墙中要用到以上提到的数据包过滤和代理服务器，两者各有优缺点，数据包过滤仅仅检查题头的内容，而代理服务器除了检查标题之外还要检查内容。当数据包过滤工具瘫痪的时候，数据包就都会进入内网，而当代理服务器瘫痪的时候内网的机器将不能访问网络。
      另外，防火墙还提供了加密、身份验证等功能。还可以提供对外部用户VPN的功能。

       第八、DMZ
       DMZ本来是朝鲜的南北大战的时候，提出的停火带。但是在我们网络安全里面，DMZ来放置例如网站服务器、邮件服务器、DNS服务器、FTP服务器等。
       我们可以通过DMZ出去，这样就为黑客进来提供了通道，所以我们有必要添加第二台防火墙，来加强我们的网络安全。
      这样带来的麻烦就是从网上下载，首先要来验证安全性，下载的时候要等一会。

       第九、IDS

       我们使用了防火墙和防病毒之后，使用IDS来预防黑客攻击。
       IDS，就是分析攻击事件以及攻击的目标与攻击源，我们利用这些可以来抵御攻击，以将损坏降低到最低限度。
       目前IDS还没有象防火墙那样用的普遍，但是这个也将是未来几年的趋势，现在一些政府已经开始使用。
       国内著名的IDS厂家例如金诺网安、中联绿盟、启明星辰。

       第十、VPN

       以前我们都是通过电话和邮件来和外地的分公司联系。分公司从总公司找一些文件都是通过拨号上网，即使用点对点协议，这样安全，但是花费很高。VPN可以解决这一点。

       第十一、分析时间日志与记录

       我们要经常的来查看防火墙日志、入侵检测的日志以及查看防病毒软件的更新组件是否最新等。

　　DoS是“拒绝服务”（Denial of Service）的缩写，它是指故意攻击网络协议的缺陷或直接通过野蛮手段耗尽受攻击目标的资源，目的是让目标计算机或网络无法提供正常的服务，甚至系统 崩溃。早期的DoS攻击都需要相当大的带宽资源来实现，而以个人为单位的“入侵者”往往没有这样的条件。但是后来攻击者发明了分布式的攻击方式，即利用工 具软件集合许多的网络带宽来同时对同一个目标发动大量的攻击请求，这就是DDoS（Distributed Denial Of Service）攻击。简而言之，DDoS攻击是由“入侵者”集中控制、发动的一组DoS攻击的集合，非常难以抵挡。

　　很多企业网站和个人网站都不止一次地遭遇过DoS/DDoS攻击，由此也积累了一些“亡羊补牢”的经验。前车之鉴能够提醒我们注意：“为什么我 们这样容易受到攻击？如何才能防患于未然降低受攻击的风险？”下面列出的就是笔者收集的十个预防、应对DoS/DDoS攻击的有效方法：

　　1. 保留并定期查看各种日志以助分析各种情况。
　　日志看起来很枯燥，而且绝大多数时候没什么作用；可一旦意外发生，它就能为你提供很重要的信息参考，每天下班前看一眼日志吧。

　　2. 预先建立标准操作规程和应急操作规程。
　　前者简称SOPs，后者是EOPs，预先建立好规程并且处变不惊是一个合格网管员的基本素养。

　　3. 要有居安思危的思想准备。
　　遭遇攻击往往没有先兆，有备无患才是长治久安之计。

　　4. 网管员必须熟悉所有的配置细节。
　　如果你是半路接手工作，一定要向前任咨询、核对清楚所有的工作细节。

　　5. 在本地和外网分别进行安全性测试。
　　“自测”不仅是演习，多给自己出一些安全性测试的难题能起到知己知彼的效用。

　　6. 提防错误配置造成的隐患。
　　错误配置通常发生在硬件搭配、服务器系统或者应用程序中，有时候问题还很隐蔽。通过反复检查来确保路由器、交换机等网络连接设备和服务器系统都进行了正确的配置，这样才会减小各种错误和入侵、攻击发生的可能性。

　　7. 要熟悉过去的一些配置细节。

　　8. 一旦发现异常，要时刻警惕。
　　网管员最要不得的就是麻痹大意，凡事将就。

　　9. 把握好网络架构的繁简程度和系统开销、安全风险之间的平衡。
　　一味地添加设备并不等同于提高防护机制，网络系统一样是因简就奢易，因奢就简难。

　　10. 通过安全防护来降低黑客攻击的风险，比如安装防火墙等安全设备。